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Abstract 



A system and method for operating a remote control having a portable remote control unit which can control at least one function unit. 
The remote control unit and the function unit are connected with one another by way of a bidirectional data communication link, by 
which data can be transmitted by means of a symmetrical coding method. The remote control unit sends a learn mode reporting signal 
in a secret coding information learn mode to the controllable function unit which, in the learn mode, in turn, sends back an 
acknowledgment signal. Upon receipt of the acknowledgment signal, the remote control unit generates new secret coding information 
by means of the coding algorithm, as a function of basis secret coding information and of the previous secret coding information, and 
sends the new secret coding information to the function unit. The function unit then replaces the previous secret coding information with 
the new secret coding information and emits an acknowledgment signal, upon the receipt of which the remote control unit, in turn, 
replaces the previous secret coding information with the new secret coding information. 
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Fernbedienungseinrichtung und Betriebsverfahren hierfur, insbesonderezur Ansteuerung von 
kraftfahrzeugbezogenen Einrichtungen 

Fernbedienungseinrichtung, insbesondere zur Steue- 
rung von kraftfahrzeugbezogenen Einrichtungen, mit 

- einer tragbaren Fernbedieneinheit (1), 

- wenigstens einer uber die Fernbedieneinheit ansteuer- 
baren Funktionseinhelt (2) und 

- einer bidirektionalen Datenkommunikationsstrecke 
(17), uber die mittels eines symmetrischen Verschlussel- 
ungsverfahrens codierte Oaten zwischen der Fernbedien- 
einheit und der Funktionseinheit ubertragbar sind, 
dadurch gekennzeichnet, daR 

- die Fernbedieneinheit (1) bei Aktivierung eines Ver- 
schlusselungsgeheimnis-Lernmodus ein Lernmodus- 
Meldesigna! (F4) abgibt, 

- die Funktionseinheit (2) im Lernmodus auf den Emp- 
fang des Lernmodus-IVIeldesignals (F4) hin ein Lemmo- 
dus-Bestatigungssignal (F5) abgibt, 

- die Fernbedieneinheit auf Empfang des Lernmodus-Be- 
statigungssignals hin mittels des Verschlusselungsalgo- 
rithmus des symmetrischen Verschlusselungsverfahrens 
in Abhangigkeit eines bisherigen Verschlusselungsge- 
heimnisses (g) ein neues Verschlusselungsgeheimnts 
tQneu) ermittelt und an die Funktionseinheit sendet, 

- die Funktionseinheit nach Empfang des neuen Ver- 
schlusselungsgeheimnisses (gneu) das bisherige Ver- 
schlusselungsgeheimnis (g) durch das neue ersetzt und 
ein Quittierungssignal (Fe) an die Fernbedieneinheit sen- 
det und 

- die Fernbedieneinheit auf Empfang des Quittierungssi- 
gnals hin das bisherige Verschlusselungsgeheimnls (g) 
durch das neue Verschlusselungsgeheimnis (gneu) 
setzt. 



l£7?£CHArt/M£i 1/9// 
g^:=DES(gB^.g) 
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Beschreibung 



Die Erfindung bezieht sich auf eine Fembedienungsein- 
richtung mit einer tragbaren Fernbedieneinheit, wenigstens 
einer uber die Fernbedieneinheit ansteuerbaren Funktions- 
einheit und einer bidirektionalen Dalenkommunikations- 
strecke, iiber welche mittels eines symmetrischen Ver- 
schliisselungsverfahrens codierte Daten zwischen der Fern- 
bedieneinheit und der Funktionseinheit ubertragbar sind, so- 
wie auf ein Betriebsverfahren fur eine solche Einrichtung. 

Fembedienungseinrichtungen dieser Art dienen beispiels- 
weise dazu, den Zugang oder die Nutzungsberechtigung ei- 
nes Kraftfahrzeuges oder die Steuerung extemer kraftfahr- 
zeugbezogener Vorrichtungen, wie eines Garagentorofifners, 
codegeschiitzt nur einem ausgewShlten Kreis von berechtig- 
ten Nutzem zu erlauben. Die berechtigten Nutzer weisen der 
jeweiligen ansteuerbaren Funktionseinheit ihre Nutzungsbe- 
rechtigung dadurch nach, daB sie im Besitz einer berechti- 
genden Fernbedieneinheit sind und iiber diese einen bidirek- 
tionalen Codedatenaustausch mit der Funktionseinheit aus- 
losen, innerhaib welchem der zugehorige Berechtigung- 
scode verschliisselt zwischen den beiden Einheiten iibertra- 
gen und anschlieBend auf Ubereinstimmung und damit Nut- 
zungsberechtigung gepriift wird. Die Verwendung eines 
symmetrischen Verschlusselungsverfahrens, welches das 
Vorhandensein eines identischen Verschlusselungsgeheim- 
nisses in beiden Hnheiten voraussetzt, bietet einen hohen 
Schutz vor Versuchen durch Unberechtigte, mittels Abhbren 
eines derartigen Codedatenaustauschs anschlieBend selbst 
erfolgreich die Funktionseinheit ansteuem zu konnen. 

In der Offenlegungsschrift DE32 25 754A1 sind eine 
Fembedienungseinrichtung der eingangs genannten Art so- 
wie ein BeUiebsverfahren hierfUr offenbart, bei dem das 
Verschliisselungsgeheimnis des verwendeten symmeUi- 
schen Verschlusselungsverfahrens eine mathematische 
Funktion ist, die identisch und unveranderbar einerseits in 
einem Schliisselteil und andererseits in einem SchloBteil ab- 
gelegt ist. 

In der Kryptographie ist untcr anderem der sogenannte 
DES(Data Encription Standard)-Algorithmus als ein hochsi- 
cherer Algorithmus fiir symmetrische Verschliisselungsver- 
fahren bekannt, der beispielsweise in einer in der Patent- 
schrift DE44 11450C1 beschriebenen Fahrzeugsiche- 
rungseinrichtung mit elektronischer Nutzungsberechtigung- 
scodierung zur Ersatzschliisselimplementierung anstelle ei- 
nes dort ansonsten fur einen geschutzten Codedatenaus- 
tausch verwendeten asymmeUischen Verschlusselungsver- 
fahrens, bei dem nur einer der beiden miteinander kommu- 
nizierenden Einheiten ein Verschlusselungsgeheimnis zu 
enthalten braucht, voigeschlagen wird. 

Es ist verschiedentlich bekannt, eine tragbare Fernbedien- 
einheit in Form eines elektronischen Fahrzeugschlussels, 
der zum Zugang und/oder zur Nutzung eines Kraftfahrzeu- 
ges berechtigt, zusatzlich zur Ansteuerung weiterer Fahr- 
zeugfunktionseinheiten oder sonstiger Funktionseinheiten, 
wie eines Garagentoroffhers, zu verwenden, wozu stellver- 
tretend auf die Patentschriften DE3043 627C2, 
DE 40 18 261 CI und DE 42 15 221 C2 sowie die Offenle- 
gungsschrift DE 40 03 280 Al hingewiesen sei. 

In der Offenlegungsschrift DE4102 020A1 ist eine 
Fembedienungseinrichtung mit einem Fahrzeugschlussel 
beschrieben, der fur bidirektionalen Informationsaustausch 
mit dem Fahrzeug zwecks Ansteuerung von Verriegelungs- 
und Entriegelungsorganen desselben cingerichtet ist und au- 
Berdem eine optische Anzeigeeinheit aufweist, auf der vom 
Fahrzeug iibertragene Informationen bezuglich Fahrzu- 
standsparameter, wie Zustand der Fahrzeugturen, gefahrene 
Kilometerstrecke, Fullstand im Kraftstofiftank, sowie ggf. 



bezuglich weiterer Parameter, wie Uhrzeit und Zustand der 
Batterie des Schlussels, optisch angezeigt werden konnen. 

Aus der Offenlegungsschrift EP0 617 183 A2 ist eine 
Fembedienungseinrichtung mit einem Schlussel fiir ein 

5 Kraflfahrzeug bekannt, der einen Sprachspeicher, ein Mi- 
krofon und eine Sprachwiedergabeeinheit enthalt. In den so 
ausgelegten Schlussel konnen Informationen, wie beispiels- 
weise die Nummer eines Parkplatzes, auf dem sich das Fahr- 
zeug befindet, in Sprachform eingegeben und dort abgespei- 

10 chert werden, wonach diese Informationen auf Anforderung 
durch den Benutzer wieder aus dem Schlussel in Sprach- 
form ausgegeben werden konnen. 

In der Offenlegungsschrift WO 90/15211 ist eine Fembe- 
dienungseinrichtung der eingangs genannten Art beschrie- 

15 ben, bei der Daten zwischen der Fembedieneinheit und der 
Funktionseinheit Ubertragbar sind, die eine beispielsweise 
durch das DES-Verschlusselungsverfahren kodierte Zufalls- 
zahl beinhalten. Das zugehorige Verschlusselungsgeheinmis 
kann in der Fembedieneinheit dadurch geandert werden, daB 

20 letztere mit einer zusatzlichen Kodiereinheit zusammenge- 
bracht wird, iiber die der Benutzer zunachst zum Nachweis 
seiner Berechtigung das bisherige Verschliisselungsgeheim- 
nis einzugeben hat. Verlauft die zugehorige Codeiiberein- 
stimmungsprufiing erfolgreich, kann der Benutzer iiber die 

25 Kodiereinheit ein neues Verschliisselungsgeheimnis in die 
Fembedieneinheit einspeisen. Die Ubertragung des neurai 
Verschlusselungsgeheimnisses in die Funktionseinheit er- 
folgt im AnschluB an einen normalen Autiientikationsvor- 
gang, der wegen des bislang nur in der Fembedieneinheit 

30 geanderten Verschlusselungsgeheimnisses negativ verlauft. 
Die Funktionseinheit versetzt sich dann in einen Lemmodus 
und mft uber das DES-VerschlUsselungsverfahren das neue 
Verschliisselungsgeheimnis von der Fembedieneinheit ab. 
Bei einer in der Patentschrift US 4.988.992 beschriebe- 

35 nen Fembedienungseinrichtung sind Autorisierungscodes 
von wenigstens einer Fembedieneinheit zu wenigstens einer 
Funktionseinheit iibertragbar. Dabei kann der jeweils ver- 
wendete Autorisiemngscode bei Bedarf geandert werden. 
Dazu wird zuerst die beUreffende Fembedieneinheit in einen 

40 Programmiermodus gebracht, was einen dort vorzusehen- 
den Zufallscodegenerator aktiviert. Der von diesem er- 
zeugte Zufallscode wird als neuer Autorisierungscode in der 
Fembedieneinheit gespeichert. Gegebenenfalls weitere vor- 
gesehene Fembedieneinheiten konnen durch Aktivieren ei- 

45 nes Lemmodus synchronisiert werden, in welchem sie iiber 
eine spezielle Antenne den neuen Autorisiemngscode von 
der neu programmierten Fembedieneinheit empfangen kon- 
nen, wenn letztere in unmittelbare Nahe gebracht und zum 
Senden des neuen Autorisierungscodes veranlaBt wird. Zum 

50 Einbringen des neuen Autorisiemngscodes in die jeweilige 
Funktionseinheit wird an derselben ein Programmiermodus 
aktiviert, woraufhin diese fiir eine vorgegebene Zeitdauer 
zum Empfang eines neuen, nicht mit ihrem bisher gespei- 
cherten Code iibereinstimmenden Autorisierungscodes be- 

.55 reit ist. Ein ggf. innerhaib dieser Zeitspanne empfangener 
Code wird dann von der Funktionseinheit als neuer Autori- 
siemngscode gespeichert. 

Der Erfindung liegt als technisches Problem die Bereit- 
stellung einer Fembedienungseinrichtung der eingangs ge- 

60 nannten Art sowie eines hierfiir geeigneten Betriebsverfah- 
rens zugmnde, bei denen mit relativ geringem Aufwand da- 
fur gesorgt ist, daB das fiir das verwendete symmetrische 
Verschlusselungsverfahren benutzte Verschliisselungsge- 
heimnis in einfacher und manipulationsgeschiitzter Weise 

65 verandert werden kann. 

Dieses Problem wird durch eine Fembedienungseinrich- 
tung mit den Merkmalen des Anspruchs 1 sowie ein Verfah- 
ren mit den Merkmalen des Anspruchs 6 gelost Der von 
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dieser Einrichtung bzw, diesem Verfahren realisierbare 
Lernvorgang zur Ersetzung eines bisherigen Verschlussel- 
ungsgeheimnisses durch ein neues zeichnet sich sowohl 
durch hohe Manipulationssicherheit als auch durch gleich- 
zeitig einfache Handhabbarkeit aus. Die Fembedieneinheit 5 
berechnet bei Aktivierung des Lemmodus selbsttltig ein 
neues Verschlusselungsgeheimnis, vorzugsweise nach ei- 
nem Pseudozufalisverfahren. Da das Verschlusselungsge- 
heimnis selbst fur den rechtmaBigen Besitzer der Fembe- 
dieneinheit verborgen bleibt, wird dieser nicht mit der Ein- lo 
gabe eines Verschlusselungsgeheimnisses belastet. Auf- 
grund der Generierung eines jeweils neuen Verschlussel- 
ungsgeheimnisses auf Anforderung ist der Lemmodus 
zwecks Wahl eines neuen Verschlusselungsgeheimnisses 
beliebig oft wiederholbar. Mit den MaBnahmen des BestSti- 15 
gens einer Leraaktivierung und des Quittierens einer Ver- 
schliisselungsgeheimnisanderung durch die Funktionsein- 
heit an die Fembedieneinheit und der erst daraufhin in der 
Funktionseinheit erfolgenden Verschliisselungsgeheimni- 
sersetzung ist sicheigestellt, daB ein von einem Unberech- 20 
tigten ausgelQstes Erzeugen eines neuen Geheimnisses zum 
einen fiir diesen wertlos bleibt, da die Funktionseinheit wei- 
terfiin mit dem alten Verschlusselungsgeheimnis anzusteu- 
em ist, und zum anderen der berechtigte Benutzer die Funk- 
tionseinheit weiterhin mit der Fembedieneinheit auf der Ba- 25 
sis des weiter geltenden Verschlusselungsgeheimnisses an- 
zusteuera vermag. Altemativ dazu ist es moglich, die Erzeu- 
gung eines neuen Verschlusselungsgeheimnisses in der 
Fembedieneinheit bei nicht aktivierter Funktionseinheit erst 
gar nicht zuzulassen. Die Funktionseinheit sollte zweckma- 30 
Bigerweise vor dem Zugriff Unberechtigter bewahrt und die 
Aktivierung des Lemmodus bei der Funktionseinheit durch 
eine geeignete Verriegelung, wie beispielsweise einen 
SchlUsselschalter, geschiitzt werden. 

Mit einer nach Anspruch 2 weitergebildeten Fembedie- 35 
nungseinrichtung konnen uber die Fembedieneinheit so- 
wohl mindestens eine fahrzeugseitige Funktionseinheit, 
z. B. eine Standheizung, als auch mindestens eine fahrzeu- 
gexteme Funktionseinheit, z. B. ein Garagentoroffner, ange- 
steuerl werden. Dariiber hinaus konnen in umgekehrter Da- 40 
tenubertragungsrichtung Zustandsinformationen, insbeson- 
dere bezuglich der jeweiligen Funktionseinheit, an die Fem- 
bedieneinheit ubermittelt und dort optisch und/oder aku- 
stisch zur Anzeige gebracht werden. 

Bei einer nach Anspmch 3 weitergebildeten Einrichtung 45 
und einem nach Anspruch 7 weitergebildeten Verfahren ist 
jeder der von der Fembedieneinheit ansteuerbaren Funkti- 
onseinheiten ein eigenes Verschlusselungsgeheimnis fur den 
Verschlusselungsalgorithmus in der Fembedieneinheit zu- 
geordnet, so daB die Verschiasselungsgeheimnisse fOr ver- 50 
schiedene ansteuerbare Funktionseinheiten unabhangig 
voneinander geandert werden konnen. 

Bei einer nach Anspmch 4 weitergebildeten Einrichtung 
und einem nach Anspmch 8 weiterbildeten Verfahren bein- 
haltet die ansteuerbare Funktionseinheit eine Auswahlmog- 55 
lichkeit zwischen mehreren Lemmodus-Kanalen, von denen 
jeder zum Setzen eines Verschlusselungsgeheimnisses zur 
Datenkommunikation mit einer bestimmten Fembedienein- 
heit dient. Auf diese Weise kann die Funktionseinheit von 
mehreren berechtigenden Ferabedieneinheiten mit jeweils 60 
spezifischem Verschlusselungsgeheimnis angesteuert wer- 
den, 

Eine besonders sichere Datenkommunikation zwischen 
Fembedieneinheit und ansteuerbarer Funktionseinheit bei 
vertretbar geringem Aufwand ermoglichen eine nach An- 65 
spmch 5 weitergebildete Einrichtung und ein nach An- 
spmch 9 weitergebildes Verfahren, in welchen der soge- 
nannte DES(Data Enscription Standard)-Algorithmus ftir 



das symmeuische Verschlusselungsverfahren verwendet 
wird. 

Bevorzugte Ausfuhrungsformen der Erfindung sind m 
den Zeichnungen dargestellt und werden nachfolgend be- 
schrieben. Hierbei zeigen: 

Fig. 1 ein Blockdiagranmi einer Fembedienungseinrich- 
tung zur Steuerung von kraftfahrzeuginternen und kraftfahr- 
zeugextemen Einrichtungen iiber eine tragbare Fembedien- 
einheit in Form eines Schlusselanhangers, 

Fig. 2 eine schematische Ruckansicht des Schliisselan- 
hangers von Fig. 1, 

Fig. 3 eine Darstellung eines Authentikationskommuni- 
kationsvorgangs mit der Einrichtung von Fig. 1 zwischen 
Schlusselanhanger und einem Garagentoroffner, 

Fig. 4 eine Darstellung der Bedienschritte eines Ver- 
schlusselungsgeheimnis-Lemvorgangs zwischen einem nio- 
difizierten Schlusselanhanger als dragbarer Fembedienein- 
heit und dem GaragentorofiPner der Einrichtung von Fig. 1 
und 

Fig. 5 eine Darstellung des Kommunikationsablaufe wah- 
rend des Lemvorgangs gemaB Fig. 4. 

Fig. 1 zeigt im Uberblick als Blockdiagramm eine Fem- 
bedienungseinrichtung, bei der eine tragbare Fembedienein- 
heit in Form eines Schlusselanhangers (1) vorgesehen ist, 
der iiber eine bidirektionale Datenkommunikationsstrecke 
(17), speziell einer Funkstrecke mit drei Funkkanalen (Ful, 
Fu2, Fu3), je nach Betatigung zugehoriger Funktionstasten 
mit einer Sende-ZEmpfangseinrichtung (2a) eines einer 
Fahrzeuggarage zugeordneten Garagentoroffners (2), mit ei- 
ner Sende-ZEmpfangseinrichtung (3a) eines Wohnhauses (3) 
Oder mit einer Sende-ZEmpfangseinrichtung (4a) eines Fahr- 
zeuges (4) in Datenaustauschverbindung treten kann, und 
zwar jeweils uber einen zugehorigen der drei Funkkanale 
(Ful, Fu2, Fu3). Der Schlusselanhanger (1) vermag die 
fahrzeugextemen Einrichtungen auch dann uber die zugeho- 
rigen Funkkanale (Ful, Fu2) anzusteuem, wenn er sich im 
Fahrzeuginnenraum befindet, wie durch die gezeigte Posi- 
tion (la) angedeutet. Dabei erfolgt die zugehorige Daten- 
kommunikation voUstandig unabhangig vom Fahrzeug (4) 
und dessen Sende-ZEmpfangseinrichtung (4a). Zur Verbes- 
semng der Ubertragungseigenschaften ist es optional dazu 
auch moglich, eine Umsetzung der Signale des Schlusselan- 
hangers (la) auf die Sende-ZEmpfangseinrichtung (4a) des 
Fahrzeuges vorzunehmen. Diese wickelt dann die Kommu- 
nikation mit der dem Garagentoroffner zugeordneten Sende- 
ZEmpfangseinrichtung uber einen in Fig. 1 strichpunktiert 
angedeuteten, optionalen Funkkanal (Fulopt) ab. Selbstver- 
standlich kann bei Bedarf auch eine andere drahtlose Daten- 
kommunikationsstrecke, z. B. auf der Basis von Infrarotwel- 
len, verwendet werden. 

Die Sende-ZEmpfangseinrichtung (2a) des Garagentoroff- 
ners (2) besitzt einen Schaltausgang, der parallel zu einem 
hier nicht weiter gezeigten Bedienelement im Innenraum 
der Garage einen Garagentorstellantrieb (2b) ansteuert, so 
daB das Garagentor wahlweise Uber den Schlusselanhanger 
(1) Oder das Bedienelement im Garageninnenraum moto- 
risch geoffnet und geschlossen werden kann. Die Sende- 
ZEmpfangseinrichtung (3a) im Wohnhaus (3) steuert mit ei- 
nem Schaltausgang einen elektromechanischen Tiiroffner 
(3b) an, welcher der Hausture des Wohnhauses (3) zugeord- 
net ist. Damit kann uber den Schlusselanhanger (1) das Off- 
nen der Haustur freigegeben oder gesperrt werden. Es ver- 
steht sich, daB die beiden Sende-ZEmpfangseinrichtungen 
(2a, 3a) von Garagentoroffner (2) und Wohnhaus (3) bei Be- 
darf auch zu einer einteiligen, mehrkanaligen Sende-ZEmp- 
fangseinrichtung vereint sein konnen. Die Sende-ZEmp- 
fangseinrichtung (4a) im Fahrzeug (4) ist mit den anderen 
Komponenten der fahrzeugelektrischen Anlage iiber ein 
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nicht gezeigtes Datenbussystcm verbunden. 

Der als tragbare Fembedieneinheit fungierende Schliis- 
selanhanger (1) besitzt, wie aus der Vorderansicht von Fig. 1 
und der Ruckansicht von Fig. 2 hervorgeht, mehrere Funk- 
tionalitaten. Uber eine Funktionstaste (5) an der Vorderseite 5 
erfolgt die Auslosung eines Dalenkommunikationsvorgangs 
zur Ansteuerung des Garagentoroffners (2) und uber eine 
weitere Funktionstaste (6) die Ansteuerung des Haustiiroff- 
ners (3b). Finer dritten Funktionstaste (7) kann eine frei 
wahlbare Funkfembedienfunktion hinterlegt werden, wozu 10 
vorher ein geeignetes Datenprotokoll eingegeb^ wird. Eine 
mdgliche Funktion ist diejenige des Einschaltens eines Hof- 
lichtes. In einer AlternativlSsung kann ein seiches Hoflicht 
auch uber einen weiteren, zugeordneten Kommunikations- 
kanal in der Sende-ZEmpfangseinrichtung (2a) des Garagen- 15 
toroffners (2) erfolgen. Bei dieser Variante braucht dann 
kein eigenes Funkdatenprotokoll eingespeist werden. 

Der Schlusselanhanger (1) besitzt des weiteren ein Dis- 
play (8), das uber eine Beleuchtungstaste (9) beleuchtet wer- 
den kann. Auf dem Display (8) ist bei Betatigen einer Menii- 20 
taste (10) ein Menii mit zuvor abgelegten, fahrzeugintemen 
Funktionalitaten darstellbar, aus dem durch Betatigen einer 
Setztaste (11) eine jeweils gewunschte Funktionalitat ausge- 
wahlt werden kann. Im gezeigten Beispiel von Fig- 1 ist als 
eine solche Funktionalitat die Ansteuerung der Standhei- 25 
zung durch ein entsprechendes Symbol (16), das auf dem 
Display (8) erscheint, reprasentiert. Die Ansteuerung der 
aus dem MenU ausgewahlten fahrzeugintemen Funktionali- 
taten erfolgt ilber den Funkkanal (Fu3) zwischen Schliissel- 
anhangei»(l) und Fahrzeug (4), wobei die fahrzeugseitige 30 
Sende-ZEmpfangseinrichtung (4a) die entsprechenden Steu- 
erbefehle iiber das Datenbussystem an die jeweilige Fahr- 
zeugzielkomponente weiterleitet. 

An seiner Ruckseite weist der Schlusselanhanger (1), wie 
aus Fig* 2 ersichtlich, eine Funktionstaste (12), die der Aus- 35 
wahl eines Lemmodus dient und weiter unten naher erlau- 
tert wird, sowie eine Funktionstaste (13), die als sogenann- 
ter Paniktaster dient, auf, wobei beide Funktionstasten (12, 
13) vor unabsichtlicher Betatigung dadurch geschutzt sind, 
da6 sie versenkt angeordnet sind oder altemativ einen ver- 40 
gleichsweise harten Druckpunkt besitzen. Durch Betatigen 
des Faniktasters (13) kann eine im Fahrzeug vorfaandene 
Alarmanlage ausgelost werden. Gegebenenfalls ist es des 
weiteren im Zusammenwirken der Fahrzeugdiebstahlwam- 
anlage mit einem Autotelefon und einem Ortungssystem, 45 
wie dem GPS (Global Positioning System), moglich, einen 
Notruf abzusetzen. Des weiteren sind an der Ruckseite des 
SchlUsselanhangers (1) ein Lautsprecher (14) und ein Mi- 
krofon (15) angeordnet, mit denen eine Sprachaufzeichnung 
und -wiedergabe moglich ist. Speziell konnen beispiels- 50 
weise Informationen uber den Fahrzeugstandort in Sprach* 
form eingegeben und spater wieder abgerufen werden, 
Diese Funktion eignet sich insbesondere bei Mehrfachnut- 
zung des zugehdrigen Fahrzeuges (4) in einem Fuhrpark. 
Zusatzlich kann vorgesehen sein, Zustandsinformationen 55 
der vom Schltisselanh^ger (1) angesteuerten Funktionsele- 
mente, wie des Garagentoroffners (2), des HausturofFners 
(3b) und der Fahrzeug-Standheizung oder auch andere In- 
formationen, die dem Schlusselanhanger (1) iiber die mit 
ihm verbundenen Sende-ZEmpfangseinrichtungen (2a, 3a, 60 
4a) und die bidirektionale Datenkomraunikationsstrecke 
(17) ubermittelt werden, auf dessen Display (8) optisch an- 
zuzeigen. So konnen beispielsweise auch Fahrzeugdaten 
wie Kilometerstand und Tankinhall auf dem Display (8) an- 
gezeigt werden, was wiederum insbesondere bei Mehrfach- 65 
nutzung des Fahrzeugs durch mehrere Fahrzeugfiihrer, wie 
bei Autovermietungen und sogenannten Car-Sharing-Pools, 
von besonderem Nutzen ist Ebenso kami auf diese Weise 
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bei Bedarf der Verriegelungszustand der Fahrzeugturen iiber 
die fahrzeugseitige Sende-ZEmpfangseinrichtung (4a) und 
den zugehorigen Funkkanal (Fu3) an den Schliisselanhanger 
(1) iibermittelt und dort auf dem Display (8) angezeigt wer- 
den. 

Als weitere vorteilhafte Funktionalitat der Fembedie- 
nungseinrichtung kann vorgesehen sein, dafi bei Auslosung 
der Fahrzeugdiebstahlwaraanlage aufgrund eines Diebstahl- 
versuchs ein entsprechendes Informationssignal von der 
Sende-ZEmpfangseinrichtung (4a) des Fahrzeugs (4) uber 
den zugeh5rigen Funkkanal (Fu3) zum Schliisselanhanger 
(1) iibermittelt wird und dieser daraufhin eine entsprechende 
Meldung iiber den Diebstahlversuch auf seinem Display (8) 
optisch und/oder iiber seinen Lautsprech^ (14) akustisch 
abgibt. 

Um einen MiBbrauch der Fernbedienungseinrichtung 
durch Unberechtigte zu verhindem, ist die Datenkommuni- 
kation zwischen dem Schlusselanhanger (1) einerseits und 
den mit ihr in Verbindung stehenden Sende-ZEmpfangsein- 
richtungen (2a, 3a, 4a) durch eine Nutzungsberechtigungs- 
prijfung geschiitzt, deren erfolgreicher Ablauf Vorausset- 
zung dafiir ist, daB em gesendetes Datensignal, insbesondere 
ein jeweiliges Ansteuersignal fur den Garagentiiroffner (2), 
den Haustiiroffner (3b) oder die Fahrzeugstandheizung, 
nach Aussenden ordnungsgemafi empfangen bzw. weiter- 
verarbeitet wird. Fiir einen solchen Authentikationsvotgang, 
mit dem die Berechtigung des jeweils be^tigten Schliissel- 
anhangers (1) zur Ansteuerung der gewiinschten Funktions- 
einheit gepriift wird, kommt in der Fernbedienungseinrich- 
tung von Fig. 1 ein symmetrisches Verschliisselungsverfah- 
ren zum Einsatz, das den sogenannten DES (Data Encription 
Standard)- Algorithmus benutzt. Die Sicherheit des DES-Al- 
gorithmus beruht nicht auf der Geheimhaltung des Algorith- 
mus an sich, sondem auf derjenigen eines im Verschliissel- 
ungsalgorithmus verwendeten Verschliisselungsgeheimnis- 
ses (g), das einerseits im Schliisselanhanger (1) und anderer- 
seits in den Sende-ZEmpfangseinrichtungen (2a, 3a, 4a) der 
angesteuerten Funktionseinheiten abgelegt ist. Dabei er- 
zeugt der Verschliisselungsalgorithmus in Abhangigkeit die- 
ses Verschliisselungsgeheimnisses (g) und ggf. weiterer, 
nicht geheimer Parameter eine Zufallszahl (z). 

Beispielhaft ist in Fig, 3 ein typischer Authentikations- 
vorgang zwischen dem Schliisselanhanger (1) und dem Gar- 
agentorofifner (2) veranschaulicht, Als Startschritt wird die 
zugehorige Funktionstaste (5) des Schliisselanhangers (1) 
betatigt, wodurch der Schliisselanhanger (1) einen Funkti- 
onscode (Fi) in Verbindung mit einem Schliisselidentitat- 
scode (ID) aussendet, auf dessen Empfang hin sich die 
Sende-ZEmpfangseinrichtung (2a) des Garagentoroffners (2) 
aktiviert. Diese berechnet daraufhin eine Zufallszahl (RND) 
mittels des DES-Algorithmus in Abhangigkeit von dem ab- 
gelegten aktuellen Verschliisselungsgeheimnis (g), zusatz- 
lich XOR-verkniipft mit einer Konstante (k) von 8 Byte 
Lange, und einer bisher geltenden Zufallszahl (RNDau). 
Aufgrund seiner Zufallseigenschaften eignet sich der DES- 
Algorithmus besonders gut als Pseudozufallsgenerator. Die 
XOR-Verkniipfung des Verschliisselungsgeheinmisses (g) 
mit der Konstanten (k) wirkt sich zusatzlich sicherheitserho- 
hend aus, so daB mil dem gewahlten Algorithmus ein Opti- 
mum an Sicherheit, einfacher Logistik und Handhabbarkeit 
erreicht wird. 

Nach Berechnung sendet die Sende-ZEmpfangseinheit des 
Garagentoroffners (2) die Zufallszahl (RND) unter opdona- 
ler Voraussendung eines zugehorigen Funktionscodes (F2) 
als Antwortsignal an den Schliisselanhanger (1) zuriick. Der 
Schliisselanhanger (1) chiffriert nach Empfang der Zufalls- 
zahl (RND) selbige mit dem DES-Algorithmus unter Ver- 
wendung des Verschliisselungsgeheiimiisses (g). Der auf 
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dicse Weise ermittelte ChifFretext (x) wird unter optionaler 
Voranstellung eines zugehorigen Funktionscodes (F3) zum 
Garagentoroffner (2) zuruckgesendet. Die Sende-/Emp- 
fangseinrichtung des GaragentorofFners (2) bestimmt aus 
dem Chiffretext (x) unter Verwendung des Verschlussel- 
ungsgeheimnisses (g) durch Anwendung des inversen DES- 
Algorithmus die enthaltene Klartextinformation und pruft, 
ob diese der zuvor erzeugten und ausgesendeten Zufallszahl 
(RND) entspricht. Nur wenn eine Ubereinstimmung festge- 
stellt wird, wird auf eine berechtigte Ansteuerung des Gar- 
agentoroffhers (2) geschlossen, und die Sende-/Empfangs- 
einrichtung (2a) gibt einen zugehorigen Schaltkontakt zur 
Ansteuerung des Garagentorstellantriebs (2b) frei. 

Ein besonderer Vorteil der Fembedienungseinrichtung 
liegt darin, daB das fur das synmietrische Verschltisselungs- 
verfahren verwendete Verschlusselungsgeheimnis (g) in 
einfacher Weise beliebig oft neu gesetzt werden kann, urn 
eine der ansteuerbaren Funktionseinheiten einem jeweiligen 
Schlusselanhanger nutzungsberechtigend zuzuordnen. 
Hierzu wird ein Verschlusselungsgeheimnis-Lemvorgang 
durchgefuhrt, der nachfolgend anhand der Fig, 4 und 5 na- 
her erlautert wird. Die Fig. 4 und 5 illustrieren beispielhaft 
einen solchen Lemvoigang zwischen einem Schlusselan- 
hanger (1'), der gegenuber demjenigen der Fig. 1 und 2 ge- 
ringfiigig modifiziert ist, und dem Garagentoroffner entspre- 
chend Fig. 1 , von dem in Fig. 4 stellvertietend nur ein zuge- 
horiger Wahlschalter (2c) gezeigt ist. Der Wahlschalter (2c) 
besitzt eine Stellung "Aus", in welcher der Garagentor6ffner 
abgeschaltet ist, eine Stellung "Betrieb", bei der sich der 
Garagentoroffner im NormalbeUieb zum gesteuerten Offtien 
und SchlieBen des Garagentors befindet, sowie drei Lern- 
modus-Stellungen "Lemen 1", "Lemen T und "Lemen 3", 
die drei parallelen Lemkanalen entsprechen, uber die dem 
Garagentoroffner drei verschiedene Verschlusselungsge- 
heimnisse von drei verschiedenen Schlusselanhangem zu- 
gewiesen werden konnen, wonach der Garagentoroffner 
uber diese drei Schlusselanhanger angesteuert werden kann. 

Die modifizierten Schlusselanhanger (1') beinhalten wie- 
derum ruckwartig eine Lemmodus-Funktionstaste (12'), ei- 
nen Paniktaster (13'), einen Lautsprecher (14') und ein Mi- 
krofon (15') sowie an der Vorderseite ein Display (8'), eine 
Funktionstaste (5') zur Ansteuerung des GaragentorofFners, 
eine Funktionstaste (6') zur Ansteuerung des Haustiiroffners 
und eine frei belegbare Funktionstaste (7'), die beispiels- 
weise zum Ein- und Ausschalten eines Hoflichts program- 
miert werden kann. Bei den modifizierten, als tragbare Fem- 
bedieneinheiten dienenden Schlusselanhangem (!') ist eine 
weitere Funktionstaste (16') zur direkten Ansteuerung der 
Fahrzeugstandheizung anstelle der bei den Schlusselanhan- 
gem (1) gemaB den Fig. 1 und 2 vorgesehenen Auswahl 
iiber ein Menu angeordnet. 

Der in Fig. 4 mit seinen Bedienschritten und in Fig. 5 im 
Kommunikationsablauf veranschaulichte Verschliisselungs- 
geheimnis-Lemvorgang, mit welchem der Garagentoroffner 
(2) ein neues Verschlusselungsgeheimnis (gneu) von einem 
Schlusselanhanger (!') lemt, wird wie folgt durchgefuhrt. 
Zunachst wird der Lemmodus bei der Sende-ZEmpfangsein- 
richtung des Garagentoroffners (2) fiir den betreffenden 
Schlusselanhanger (1') dadurch aktiviert, daB der Wahl- 
schalter (2c) in den zugehorigen Lemkanal, z. B. die Stel- 
lung "Lemen T, gebracht wird. Analog wird der Lemmodus 
beim betreffenden Schlusselanhanger (1') durch Driacken 
der Lemmodus-Funktionstaste (12') aktiviert. AnschlieBend 
wird die Funktionstaste (5*), die zu der das neue Verschlus- 
selungsgeheimnis lemenden Funktionseinheit, hier dem 
Garagentoroffner (2), gehort, betatigt, woraufhin der 
Schlusselanhanger (1') einen entsprechenden Funktionscode 
(F4) als Lemmodus-Meldesignal aussendet. Wenn sich die 



Gegenstelle, d. h. der Garagentoroffner (2), ordnungsgemaB 
im Lemmodus befindet, bestatigt sie dies auf den Erhalt des 
vom Schlusselanhanger (1') ausgesendeten Funktionscodes 
(F4) hin durch Absenden eines Lemmodus-Bestatigungssi- 
5 gnals in Form eines Antwortfunktionscodes (F5). Erst auf 
den Erhalt dieses Bestatigungssignals (F5) hin erzeugt der 
Schlusselanhanger (1') aus einem in ihm anfanglich bei der 
Produktion implementierten Verschlusselungsbasisgeheim- 
nis (gBasu) und dem bisher geltenden Verschlusselungsge- 
10 heimnis (g) mittels des DES-Algorithmus ein neues Ver- 
schlusselungsgeheimnis (gneu) als Pseudozufallszahl mit gu- 
ten Zufallseigenschaften, Bei der erstmaligen Zuweisung ei- 
nes Verschlusselungsgeheimnisses wird das anfanglich im- 
plementierte Verschlusselungsbasisgeheimnis (gBasis) als 
15 bisheriges Verschlusselungsgeheimnis verwendet. Durch 
die Notwcndigkeit diescr Bestatigungsmeldung wild ein 
Entlocken des VerschlUssclungsgeheinmisses aus dem 
Schlusselanhanger (1') ohne Gegenstelle umnoglich ge- 
macht. Das Verschlusselungsgeheimnis ware in diesem Fall 
20 zwar fur den betreffenden Angreifer wertlos, da der Gar- 
agentoroffner (2) weiterhin nur mit dem bisherigen Ver- 
schlusselungsgeheimnis (g) geoffnet werden konnte, jedoch 
ware es bei einer alleinigen Anderung des Verschlusselungs- 
geheimnisses im Schlusselanhanger (1') auch dem berech- 
25 tigten Benutzer anschlieBend nicht mehr moglich, den Gar- 
agentoroffner (2) mittels des SchlusselanhSngers (1') anzu- 
steuem. 

AnschlieBend wird das neu erzeugte Verschlusselungsge- 
heimnis (gneu) zum Garagentoroffner (2) ubertragen. Nach 
30 Empfang und Abspeicherung des neuen Verschlusselungs- 
geheimnisses (gneu) ggf . unter Ersetzung eines bisher zuge- 
wiesenen Verschlusselungsgeheimnisses (g), quittiert die 
Sende-ZEmpfangseinrichtung des Garagentoroffners (2) 
diese ordnungsgemaBe Abwicklung durch Aussenden eines 
35 entsprechenden Quittierungs-Funktionscodes (Fe). Erst auf 
Empfang dieses Quittierungssignals (Fe) hin loscht der 
Schlusselanhanger (1') das bisher geltende Verschlussel- 
ungsgeheimnis (g), ersetzt es durch das neue Verschlussel- 
ungsgeheimnis (gneu) und gibt dem Benutzer daruber eine 
40 optische und/oder akustische Bestatigung uber das Display 
(8*) bzw. den Lautsprecher (14'). Es versteht sich, daB bei 
Bedarf auch alle ubrigen, zuvor genannten Bedienhandlun- 
gen und Bestatigungen auf dem Display (8') des Schlussel- 
anhangers (!') dargestellt werden konnen. Am Wahlschalter 
45 (2b) des Garagentoroffners (2) wird dann wieder auf norma- 
len Betrieb umgestellt und der Lemmodus damit deaktiviert, 
wonach der Garagentoroffner (2) vom Schlusselanhanger 
(1') mittels Datenkommunikationsvorgangen angesteuert 
werden kann, die eine Verschlusselung basierend auf dem 
50 neuen Verschlusselungsgeheimnis (gneu) beinhalten. Im 
Schlusselanhanger (1*) wird der Lembetrieb nach Empfang 
des Quittierungssignals (Fe) des Garagentoroffners (2) 
selbsttatig deaktiviert. 
Wie ersichtlich, ist es mit dem beschriebenen Verschlus- 
55 selungsgeheimnis-Lemverfahren in komfortabler Weise 
moglich, eine Uragbare Fembedieneinheit einerseits und eine 
uber sie ansteuerbare Funktionseinheit andererseits einander 
nutzungsberechtigend unter beliebig oft wiederholbarer An- 
derung des Verschlusselungs geheimnisses zuzuordnen, wo- 
60 bei die Ansteuerung der Funktionseinheit durch die Fembe- 
dieneinheit einen hochsicheren Authentikationsvorgang 
durch ein symmetrisches Verschlusselungsverfahren bein- 
haltet, welches dieses Verschlusselungsgeheimnis verwen- 
det. Dabei konnen je nach Anwendungsfall einer Funktions- 
65 einheit mehrere nutzungsberechtigende Fembedieneinhei- 
ten und umgekehrt einer Fembedieneinheit mehrere von ihr 
ansteuerbare Funktionseinheiten zugewiesen werden. 
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Patentanspniche 

1. Fernbedienungseinrichtung, insbesondeie zur 
Steuerung von kraftfahrzeugbezogenen Einrichtungen, 
mit 5 

- einer tragbaren Fembedieneinheit (1), 

- wenigstens einer iiber die Fembedieneinheit 
ansteuerbaren Funktionseinheit (2) und 

- einer bidirektionalen Datenkommunikations- 
strecke (17), uber die mittels eines symmetrischen 10 
Verschlusselungsverfahrens codierte Daten zwi- 
schen der Fembedieneinheit und der Funktions- 
einheit ubertragbar sind, 

dadurch gekennzeichnet, daB 

- die Fembedieneinheit (1) bei Aktiviening eines 15 
Verschlusselungsgeheimnis-Leramodus ein Lem- 
modus-Meldesignal (F4) abgibt, 

- die Funktionseinheit (2) im Leramodus auf den 
Empfang des Leramodus-Meldesignals (F4) hin 
ein Lemmodus-Bestatigungssignal (F5) abgibt, 20 

- die Fembedieneinheit auf Empfang des Lera- 
modus-Bestatigungssignals hin mittels des Ver- 
schliisselungsigorithmus des symmetrischen 
Verschlusselungsverfahrens in Abhangigkeit ei- 
nes bisherigen Verschlusselungsgeheimnisses (g) 25 
ein neues Verschlusselungsgeheimnis (gneu) er- 
mittelt und an die Funktionseinheit sendet, 

- die Funktionseinheit nach Empfang des neuen 
Verschlusselungsgeheimnisses (gneu) das bishe- 
rige Verschliisselungsgeheimnis (g) durch das 30 
neue ersetzt und ein Quittierungssignal (Fe) an die 
Fembedieneinheit sendet und 

- die Fembedieneinheit auf Empfang des Quittie- 
rungssignals hin das bisherige Verschliisselungs- 
geheimnis (g) durch das neue Verschlusselungs- 35 
geheimnis (gneu) ersetzt. 

2. Fernbedienungseinrichtung nach Anspmch 1, wei- 
ter dadurch gekennzeichnet, daB mit der Fembedien- 
einheit (1) wenigstens eine fahrzeugseitige Funktions- 
einheit und wenigstens eine fahrzeugexterae Funkti- 40 
onseinheit (2, 3b) ansteuerbar sind und die Fembedien- 
einheit eine optische (8) und/oder eine akusdsche An- 
zeigevorrichtung (14) zum Anzeigen von iiber die bidi- 
rektionale Datenkommunikationsstrecke (17) iibermit- 
telbaren Informationen aufweist. 45 

3. Fernbedienungseinrichtung nach Anspruch 1 oder 
2, weiter dadurch gekennzeichnet, daB die Fembedien- 
einheit (1) fiir jede der iiber sie ansteuerbaren Funkti- 
onseinheiten (2, 3b) ein eigenes Verschliisselungsge- 
heimnis zur DatenverschlUsselung mittels des Ver- 50 
schliisselungsalgorithmus verwendet. 

4. Fernbedienungseinrichtung nach einem der Ansprii- 
che 1 bis 3, weiter dadurch gekennzeichnet, daB die 
wenigstens eine Funktionseinheit (2) mehrere Lemmo- 
dus-Kanale (Leraen 1 , Leraen 2, Lemen 3) zum Lemen 55 
jeweils unterschiedlicher Verschliisselungsgeheim- 
nisse aufweist, die spezifisch jeweils einer von mehre- 
ren tragbaren Fembedieneinheiten (1) zugeordnet sind. 

5. Fernbedienungseinrichtung nach einem der Ansprii- 
che 1 bis 4, weiter dadurch gekennzeichnet, daB als 60 
Verschiisselungsalgorithmus der DES-Algorithmus 
verwendet wird, 

6. Verfahren zur nutzungsberechtigenden, fremdnut- 
zungsgeschiitzten Zuordnung einer tragbaren Fembe- 
dieneinheit (1) zu wenigstens einer iiber sie ansteuerbar 65 
ren Funktionseinheit (2) mittels Zuweisung eines ge- 
meinsamen, neuen Verschliisselungsgeheimnisses 
(gneu) eines zur Authentikation verwendeten synunetri- 
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schen Verschliisselungsverfahrens, gekennzeichnet 
durch folgende Schritte: 

- Aktivieren eines Leramodus an der Funktions- 
einheit (2) und der Fembedieneinheit (1') und 
Senden eines Lemmodus-Meldesignals CF4) von 
der Fembedieneinheit zur Funktionseinheit, 

- Senden eines Lemmodus-Bcstatigungssignals 
(F5) von der Funktionseinheit zur Fembedienein- 
heit auf den Empfang des Lemmodus-Meldesi- 
gnals (F4) hin, 

- Berechnen des neuen Verschlusselungsgeheim- 
nisses (goeu) mittels des Verschlusselungsalgorith- 
mus des symmetrischen Verschlusselungsverfah- 
rens in Abhangigkeit von einem Verschliissel- 
ungsbasisgeheinmis (gsasis) und des bisherigen 
Verschlusselungsgeheimnisses (g) und Ubertra- 
gung desselben an die Funktionseinheit durch die 
Fembedieneinheit auf den Empfang des Lemmo- 
dus-Bestatigungsignals (F5) hin, 

- Ersetzen des bisherigen Verschliisselungsge- 
heimnisses (g) durch das empfangene, neue Ver- 
schliisselungsgeheinmis (gncJ) in der Funktions- 
einheit und Ab senden eines Quittierungssignals 
(Fe) durch die Funktionseinheit und 

- Ersetzen des bisherigen Verschliisselungsge- 
heimnisses (g) durch das neue Verschliisselungs- 
geheimnis (gneu) in der Fembedieneinheit auf den 
Empfang des Quittiemngssignals (Fg) hin. 

7. Verfahren nach Anspmch 6, weiter dadurch gekenn- 
zeichnet, daB fiir jede von mehreren, iiber die Fembe- 
dieneinheit ansteuerbaren Funktionsemheiten ein eige- 
nes Verschliisselungsgeheimnis zur Datenverschliisse- 
lung mittels des Verschliisselungsalgorithmus verwen- 
det wird. 

8. Verfahren nach Anspmch 6 oder 7, weiter dadurch 
gekennzeichnet, daB der wenigstens einen Funktions- 
einheit mehrere Lemmodus-Kanale (Lemen 1, Leraen 
2, Lemen 3) zum Lemen jeweils unterschiedlicher Ver- 
schliisselungsgeheinmisse zugewiesen werden, die 
spezifisch jeweils einer von mehreren tragbaren Fem- 
bedieneinheiten zugeordnet sind. 

9. Verfahren nach einem der Anspriiche 6 bis 8, weiter 
dadurch gekennzeichnet, daB als Verschliisselungsal- 
gorithmus der DES-Algorithmus verwendet wird. 
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